DSGVO und Datenschutz bei der Barrierefreiheit: Wie geht Accessiway damit um?

Juristisch geprüft von Cecilia Pirchio · 27. August 2026

Wer eine Lösung für digitale Barrierefreiheit einkauft, prüft nicht nur WCAG, BFSG und technische Qualität. Genauso wichtig ist, welche Daten verarbeitet werden, wo das passiert und welche Unterlagen der Anbieter dazu liefert. Die Aussage „DSGVO-konform“ beantwortet keine dieser Fragen. Hier sind die zehn Fragen, die eine belastbare Antwort möglich machen.

Kernpunkte

• „DSGVO-konform“ allein ist kein Nachweis. Belastbar wird die Aussage erst mit einem dokumentierten Datenfluss, einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und bestätigten Verarbeitungsorten.

• Bei IP-Adressen widersprechen sich Anbieterantworten besonders leicht. Wer angibt, keine personenbezogenen Daten zu verarbeiten, und gleichzeitig IP-Adressen überträgt, muss beides erklären. Art. 4 Nr. 1 DSGVO nennt die Online-Kennung ausdrücklich.

• Der Firmensitz sagt nichts über den Verarbeitungsort. Frag nach Hosting-Regionen, Unterauftragsverarbeitern und dem Transfermechanismus für jeden einzelnen Empfänger.

• Datenschutzprozesse müssen selbst bedienbar sein. Art. 12 Abs. 1 DSGVO verlangt für Datenschutzhinweise eine leicht zugängliche Form, Art. 4 Nr. 11 DSGVO eine freiwillig erteilte Einwilligung. Ein Cookie-Banner, dessen Ablehnen-Option sich nicht per Tastatur erreichen lässt, erfüllt beides nicht.

Warum die Prüfung an der Leistung hängt und nicht am Anbieter

Unter „Barrierefreiheits-Tool“ laufen clientseitige Widgets, automatisierte Scans, Monitoring, manuelle Audits, Dokumenten-Remediation, Nutzertests mit Menschen mit Behinderungen und Support. Ein automatisierter Scan der Startseite und ein Nutzertest mit acht Teilnehmer:innen sind datenschutzrechtlich zwei verschiedene Vorhaben. Deshalb führt die Frage, ob der Anbieter DSGVO-konform ist, ins Leere. Die Frage muss der Leistung gelten.

Ein Punkt verdient dabei besondere Aufmerksamkeit: die IP-Adresse. Art. 4 Nr. 1 DSGVO nennt die Online-Kennung ausdrücklich als möglichen Anknüpfungspunkt für einen Personenbezug, und Erwägungsgrund 30 führt IP-Adressen als Beispiel auf. Ob im Einzelfall ein Personenbezug besteht, hängt vom Kontext ab. Eine übertragene IP-Adresse braucht aber eine dokumentierte Rechtsgrundlage, einen Zweck und eine Speicherfrist.

1. Welche Daten verarbeitet die Lösung tatsächlich?

Am Anfang steht die Inventur, die Bewertung kommt später. Frag pro Modul statt pro Unternehmen und geh die sieben Kategorien durch, die typischerweise anfallen: Website-Struktur und Quellcode, IP- und Netzwerkdaten, Cookies und Local Storage, Konto- und Admin-Daten, Support- und Ticketdaten, Audit-Nachweise wie Screenshots sowie Daten der Teilnehmenden aus Nutzertests.

Quellcode ist nicht automatisch frei von personenbezogenen Daten. Eine Seite hinter dem Login, eine Bestellbestätigung oder ein Kommentarbereich können Namen, Adressen und Bestellnummern enthalten.

2. Ist der Anbieter Verantwortlicher oder Auftragsverarbeiter?

Die Rolle ergibt sich daraus, wer tatsächlich über Zweck und Mittel der Verarbeitung entscheidet, nicht aus der Bezeichnung im Vertrag. Verarbeitet ein Anbieter personenbezogene Daten in deinem Auftrag, ist ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO Pflicht. Für eigene Zwecke, etwa Kontoverwaltung oder Abrechnung, kann er selbst Verantwortlicher sein. Beide Rollen können also nebeneinander bestehen, für unterschiedliche Datenkategorien.

Frag, welche Rolle für welche Kategorie gilt und mit welcher Begründung. „Wir brauchen keinen AVV“ ohne Begründung ist ein Warnsignal. Die abschließende Bewertung liegt bei deiner oder deinem Datenschutzbeauftragten.

3. Wo werden die Daten verarbeitet, und gibt es Übermittlungen?

Der Verarbeitungsort ergibt sich aus der Infrastruktur, nicht aus dem Firmensitz. Frag nach der Hosting-Region pro Modul, nach der aktuellen Liste der Unterauftragsverarbeiter mit Standorten und nach dem Prozess für neue Unterauftragsverarbeiter.

Was dabei meist durchrutscht, ist der Fernzugriff. Ein Zugriff aus einem Drittland auf Daten, die in der EU liegen, ist eine Übermittlung, sobald eine andere Stelle zugreift, etwa ein Support-Dienstleister des Anbieters. Greift eigenes Personal derselben Stelle aus dem Ausland zu, liegt nach den Leitlinien des Europäischen Datenschutzausschusses keine Übermittlung nach Kapitel V vor. Frag also, wer zugreift, und nicht nur, von wo. Tatsächliche Übermittlungen brauchen ein Instrument aus Kapitel V, ob Angemessenheitsbeschluss oder Standarddatenschutzklauseln, und der Anbieter sollte benennen, was für welchen Empfänger gilt.

4. Wie schützt der Anbieter die Daten in der Praxis?

Art. 32 DSGVO verlangt Sicherheitsmaßnahmen, die zum Risiko passen. In der Praxis heißt das eine Übersicht der technischen und organisatorischen Maßnahmen, die du mit deinen eigenen Anforderungen vergleichen kannst: Verschlüsselung bei der Übertragung und bei der Speicherung, Zugriffe nach dem Prinzip der geringsten Rechte, Protokollierung, sichere Entwicklung, Schwachstellenmanagement und ein Löschkonzept, das Backups einschließt.

Der Umgang mit Sicherheitsvorfällen verdient eine eigene Frage. Nach Art. 33 Abs. 2 DSGVO muss der Auftragsverarbeiter dich unverzüglich informieren, denn du selbst musst die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden benachrichtigen, wenn die Verletzung voraussichtlich zu einem Risiko für die betroffenen Personen führt.

Zertifikate wie ISO 27001 oder ein SOC-2-Bericht sind ein gutes Signal, wenn du Geltungsbereich und Ausstellungsdatum dazubekommst. Ein Zertifikat deckt nur ab, was in seinem Geltungsbereich steht, und ein Bericht von 2023 beschreibt eine Architektur, die seitdem mehrere Releases hinter sich hat.

5. Datenschutzprozesse müssen selbst barrierefrei sein

Datenschutz wirkt nur, wenn die Menschen, die er schützen soll, ihre Rechte auch tatsächlich ausüben können. Art. 12 Abs. 1 DSGVO verlangt Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form, in klarer und einfacher Sprache. Hier treffen sich Datenschutz und Barrierefreiheit, und hier fallen viele Umsetzungen durch. Drei Prüfungen dauern jeweils ein paar Minuten.

Der Consent-Layer Öffne dein Cookie-Banner und leg die Maus weg. Erreichst du „Alle ablehnen“ mit der Tab-Taste? Ist der Fokus sichtbar? Kommst du aus dem Dialog wieder heraus? Ein Banner, das den Tastaturfokus festhält oder die Ablehnen-Option nur per Klick anbietet, schließt einen Teil deiner Nutzer:innen von einer echten Wahl aus. Rechtlich hängt daran nicht die Transparenzpflicht aus Art. 12 DSGVO, sondern die Wirksamkeit der Einwilligung.

Die Sicherheitsabfrage im Formular Ein rein visuelles CAPTCHA vor dem Kontakt- oder Auskunftsformular blockiert Menschen, die einen Screenreader nutzen. Erfolgskriterium 1.1.1 der WCAG („Nicht-Text-Inhalt“) verlangt hier zwei Dinge: einen Text, der den Zweck der Abfrage benennt, und mindestens eine Alternative über einen anderen Sinneskanal.

Der Weg zu den Betroffenenrechten Ein Formular mit korrekt verknüpften Labels, Fehlermeldungen als Text und einem zweiten Kanal per E-Mail funktioniert. Ein Antrag, den es nur als PDF zum Ausdrucken gibt, funktioniert für viele nicht.

Die DSGVO schreibt WCAG nicht ausdrücklich vor. Verlangt sind Verständlichkeit und leichte Zugänglichkeit, und die WCAG 2.2 auf Stufe AA sind dafür der etablierte technische Maßstab. Die derzeit im EU-Amtsblatt zitierte Fassung von EN 301 549 verweist noch auf WCAG 2.1 AA. Wer heute auf 2.2 AA prüft, arbeitet also mit Vorlauf. Und fällt dein Angebot unter das BFSG, erfassen die Anforderungen der BFSGV die Informations- und Bedienelemente der Dienstleistung, wozu Datenschutzerklärung, Cookie-Banner und Kontaktwege gehören. In unserer Analyse der verbraucherorientierten DAX-Websites ein Jahr nach Inkrafttreten des BFSG sind 89 Prozent bei der Barrierefreiheit durchgefallen.

Checkliste: Diese 10 Fragen solltest du deinem Anbieter stellen

Schick sie vor der Testphase, nicht danach. In regulierten Bereichen wie Finanzdienstleistungen und Banking verlangt die interne Freigabe die Antworten ohnehin schriftlich.

Wie Accessiway diese Fragen beantwortet

Wie wir DSGVO-Konformität und Datenschutz sicherstellen, ist die Frage, die uns deutsche Kund:innen am häufigsten stellen.

Verantwortliche sind die Accessiway GmbH (Wien) und die Accessiway Germany GmbH (Berlin), gemeinsam Verantwortliche ist die team.blue NV. Unsere Unterauftragsverarbeiter nennen wir in unserer Datenschutzerklärung, und für die Leistung, die du prüfst, stellen wir dir die passende Liste zur Verfügung. Datenkategorien, Rechtsgrundlagen und Speicherfristen stehen ebenfalls dort. Anfragen zum Datenschutz richtest du an legal.de@accessiway.com. Den Datenfluss für deinen Einsatzfall geht unser Team gemeinsam mit dir und deinem Datenschutzteam durch. In der Plattform für digitale Barrierefreiheit steuert dein Team die Zugriffe über ein Rollen- und Rechtekonzept.

Häufige Fragen

Braucht ein Barrierefreiheits-Tool immer einen Auftragsverarbeitungsvertrag?

Nicht immer. Es hängt davon ab, ob der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet. Ein Werkzeug, das ausschließlich im Browser der Nutzer:innen arbeitet und keine Daten an den Anbieter überträgt, ist anders zu bewerten als eine Plattform mit Konten, Tickets und gespeicherten Ergebnissen. Entscheidend ist die tatsächliche Verarbeitung, nicht die Produktkategorie.

Sind Overlay-Widgets automatisch DSGVO-konform?

Nein. Ein Widget kann datensparsam gebaut sein, es kann aber auch IP-Adressen übertragen, Einstellungen speichern oder Skripte von Drittanbietern laden. Prüfe, welche Netzwerkverbindungen im Browser entstehen und was im Local Storage landet, beides siehst du in den Entwicklertools deines Browsers in wenigen Klicks. Vom Datenschutz abgesehen gilt: Ein Widget ist ein erster Schritt und stellt keine Konformität mit WCAG her. Wie weit automatisierte Werkzeuge tragen, zeigt unser Vergleich von manuellen und automatisierten Barrierefreiheitstests.

Fazit

Die entscheidende Frage ist, ob der Anbieter für deinen Einsatzfall den Datenfluss, die Rollen und die Garantien belegen kann. Wer das im Einkauf klärt, prüft Barrierefreiheit und Datenschutz in einem Durchgang. Beides zahlt darauf ein, digitale Angebote ohne Barrieren zu gestalten.

Du prüfst gerade eine Lösung? Sprich mit unserem Team über den Datenfluss und die Unterlagen, die für deinen Einsatzfall verfügbar sind, oder starte den kostenlosen Barrierefreiheits-Check für einen ersten Überblick über den Stand deiner Website. Wenn du die Prüfung danach strukturiert aufsetzen willst, findest du den Ablauf für ein Barrierefreiheitsaudit bei uns.

Dieser Artikel ist ein redaktioneller Leitfaden für den Einkauf und keine Rechtsberatung.